حصل رقم عميلك على مالك جديد، وقد سمحت كلمة المرور لمرة واحدة (OTP) له بالدخول. إليك كيفية إيقاف ذلك.

يفقد هاتف أحد العملاء الإشارة مساء يوم الجمعة. فيظن أن المشكلة في الشبكة ويذهب إلى النوم.

بحلول الصباح، قام أحدهم بإعادة تعيين كلمة المرور، وتسجيل الدخول من هاتف جديد، وإضافة مستفيد، وسحب جميع الأموال من الحساب. تطلبت كل خطوة رمزًا لمرة واحدة. تم إرسال كل رمز إلى رقم هاتف العميل المسجل، وتم إدخال كل رمز بشكل صحيح.

لا تُظهر سجلاتك أي خطأ. كان الرقم صحيحًا. كان الرمز صحيحًا. لكن الشخص لم يكن كذلك. خلال الليل، تم نقل الرقم إلى SIM البطاقة في يد شخص آخر.

هذه هي الحقيقة المزعجة بشأن التحقق عبر الهاتف. رمز يتم إرساله بواسطة SMS يثبت ذلك أن شخصًا ما يمتلك SIM الآن. لم يثبت ذلك قط من هو ذلك الشخص.

ما يكلفك ذلك

• المال. إن عملية الاستحواذ تستنزف حسابًا اجتاز عملية التسجيل بنزاهة، لذلك هناك توازن حقيقي وحدود حقيقية يجب أخذها.

• الخلاف. يقول عميلك إنه لم يوافق على أي شيء. وتشير سجلاتك إلى أن الرمز الصحيح جاء من الرقم الصحيح. كلا الادعاءين صحيحان، وأنت من يجب عليه حسم الأمر.

• الثقة. لم يرتكب العميل أي خطأ. لم يشاركوا PIN أو انقر على رابط. إخبارهم بأن النظام يعمل كما هو مصمم ليس إجابة سيقبلونها.

كيف ينتقل الرقم من يد إلى أخرى

هناك مساران شائعان، ولا يتطلب أي منهما أن يرتكب العميل خطأً.

SIM استبدال. استبدال SIM هذا أمر طبيعي: تتعرض الهواتف للضياع والسرقة والتلف. GSMA يصف هذا الاستغلال بأنه عملية احتيال يقوم بها محتال يتلاعب بعملية خدمة العملاء لدى المشغل (يفتح في علامة تبويب جديدة) من خلال طلب SIM استبدال أو منفذ رقمي، بحيث SMS تصل الخدمة إلى جهاز يملكونه. في توجيهاتها لعام 2019 لقطاع الأموال عبر الهاتف المحمول (يفتح في علامة تبويب جديدة) ، GSMA تشير الملاحظات إلى أن عملية التبديل الناجحة تسمح للمحتال بتلقي رسائل المصادقة والمكالمات وكلمات المرور لمرة واحدة التي يرسلها مزود الخدمات المالية إلى الضحية.

شددت الهيئات التنظيمية الإجراءات. في نيجيريا، هيئة الاتصالات SIM تتطلب سياسة الاستبدال (يفتح في علامة تبويب جديدة) من المشترك تقديم NIN ويتطلب ذلك NIN سيتم التحقق من ذلك بواسطة NIMC هذا يرفع مستوى التحدي. لكنه لا يزيل المخاطر، لأن التحكم يقع على عاتق المشغل ووكلائه، وليس عليك.

الأرقام المُعاد تدويرها. الأرقام ليست ملكًا دائمًا. بموجب قواعد جودة خدمة الأعمال الصادرة عن هيئة الاتصالات النيجيرية (أغسطس 2024) ، يُمكن إلغاء تفعيل الخط بعد ستة أشهر من عدم وجود أي نشاط مُدرّ للدخل، وقد يفقد المشترك الرقم إذا استمر ذلك لستة أشهر أخرى. تُصنّف (يفتح في علامة تبويب جديدة)قواعد تسجيل المشتركين (يفتح في علامة تبويب جديدة) الصادرة عن الهيئة (يوليو 2025) الحساب على أنه غير نشط بعد 365 يومًا متتالية دون أي نشاط، وعندها... NIN يتم فصل الخط ويتم تغييره. ويمكن بعد ذلك نقل الرقم إلى مشترك جديد.

لذا، قد يظل رقم العميل القديم مسجلاً لديك إذا سافر أو غيّر شبكته أو توقف عن شحن رصيده. الشخص الذي يرد على المكالمة اليوم غريب عنك، وسيرسل لك نظام إعادة تعيين كلمة المرور رسالة نصية تحتوي على رمز. لقد راجعنا القوانين النيجيرية لكتابة هذا المقال. تختلف الإجراءات والشروط من بلد لآخر، لذا يُرجى مراجعة قوانين هيئة تنظيم الاتصالات في بلدك.

ما يثبته رمز الهاتف، وما لا يثبته

يثبت ذلك ثلاثة أمور مفيدة:

• الرقم موجود ويمكنه استقبال الرسائل.

• بإمكان الشخص الموجود أمام تطبيقك قراءة تلك الرسائل في هذه اللحظة.

• بيانات الاتصال التي أنت بصدد تخزينها ليست خطأً مطبعياً أو اختراعاً.

هذا لا يثبت:

• أن هذا هو الشخص الذي سجل الرقم، أو الشخص الذي تحققت منه عند التسجيل.

• ذلك SIM هو نفسه الذي استقبل رمزك الأخير.

• أن الكود لم يُقرأ بصوت عالٍ للمتصل أو يُكتب في صفحة وهمية.

هذا ليس رأياً هامشياً. هيئة المعايير الأمريكية NIST يصنف المعيار SP 800-63B-4 (يفتح في علامة تبويب جديدة) الرموز التي تُرسل لمرة واحدة عبر شبكة الهاتف على أنها أداة مصادقة مقيدة (القسم 3.1.3.3). وينص على أنه ينبغي على جهة التحقق مراعاة مؤشرات المخاطر مثل تبديل الجهاز، و SIM تغيير أو نقل الرقم قبل إرسال واحد، وينص على أن المصادقة خارج النطاق ليست مقاومة للتصيد الاحتيالي. NIST قواعدها ملزمة للأنظمة الفيدرالية الأمريكية، وليست من شأنك، لكن المنطق واضح.

لا يعني هذا أن تتوقف عن إرسال الرموز. بل يعني أن تتوقف عن اعتبار الرمز الصحيح دليلاً على الهوية.

ما الذي يمكن تنسيقه معه؟

• التحقق من الوجه للتحقق من الأفعال المؤذية. لديك بالفعل أقوى إجابة على سؤال "هل هذا هو نفس الشخص؟": الوجه الذي تحققت منه عند التسجيل. لإعادة تعيين كلمة المرور، أو جهاز جديد، أو مستفيد جديد، أو دفعة مالية كبيرة، اطلب صورة شخصية مباشرة وقارنها بذلك الوجه. SIM يمكن أن يتم تداولها في غضون فترة ما بعد الظهر. أما الوجه فلا يمكن تداوله.

• إشارات الجهاز والسلوك. يُعدّ إدخال رمز من هاتف لم تره من قبل، في موقع جديد، بعد دقائق من إعادة تعيين كلمة المرور، حدثًا مختلفًا عن إدخال الرمز نفسه على هاتف العميل المعتاد. تتناول مقالتنا حول ما يمكن وما لا يمكن أن تخبرك به إشارات الجهاز وبروتوكول الإنترنت حدود هذه الإشارات.

• بادر باتخاذ الإجراءات اللازمة بدلاً من الحظر. معظم مستخدمي الهواتف الجديدة هم مجرد أشخاص يمتلكون هواتف جديدة. لا تقم بحظرهم. اطلب المزيد من الأدلة فقط عندما يكون الخطر حقيقياً، كما هو موضح في قسم " التدخل لمنع اختراق الحساب" .

• تعامل مع الأرقام القديمة بحذر. إذا ظلّ الحساب غير نشط لعدة أشهر، فقد لا يكون الرقم المسجل فيه يخصّ عميلك. لا تسمح بفتح الحساب تلقائيًا.

ماذا Toden ما يفعله، وما لا يفعله

نفضل أن نكون دقيقين بدلاً من أن نكون مثيرين للإعجاب، لذا إليكم كل قطعة مع حدودها.

• التحقق من رقم الهاتف. Toden يرسل رمزًا لمرة واحدة بواسطة SMS ويتحقق من ذلك، إما داخل سير العمل أو من خلال خادم API تدوم الرموز خمس دقائق، ولا يمكن إرسال أكثر من خمسة رموز إلى رقم واحد في الساعة. كما يُبلغ كل فحص عن بلد الرقم، وما إذا كان صالحًا، ونوع خطه (مثلmobile،fixed_lineأوvoip) و أvirtualعلامة صحيحة فقط لنطاق VoIP معروف.

• إعادة استخدام الأرقام. في سير العمل،phone.matchedVerificationsيحسب عدد عمليات التحقق الأخرى في مؤسستك التي أكدت نفس الرقم. إنها إشارة غير مباشرة. تتشارك العائلات الهواتف.

• إعادة التحقق من الوجه. يقوم نظام جاهز بأخذ صورة شخصية للتحقق من حيوية الوجه ومطابقتها مع نموذج البيانات البيومترية المخزن لدى العميل، أو مع صورة مرجعية تُقدمها أنت. تُنشئ جلسة لعميل مُحدد وتتلقى النتيجة عبر رابط ويب.

• ميزة ذكاء الجهاز. مُفعّلة افتراضيًا في سير العمل. تُبلغ عن نتائج مثل الأجهزة المشتركة والمستردة، والمحاكيات، والهواتف التي تم عمل روت لها، والمحاولات المتكررة، ويمكنك ضبط كل منها للموافقة أو المراجعة أو الرفض.

• نشاط الحساب. إرسال بيانات تسجيل الدخول، أو إعادة تعيين كلمة المرور، أو إضافة مستفيد جديد، أو تغيير الجهاز إلى Toden نقطة نهاية النشاط الخاصة بـ 's' وهي تجيبallow،reviewأوblockمن الجهاز، وعنوان IP، والموقع، وسجل البيانات. راجع قسم إرسال الأحداث لتقييم المخاطر في الوقت الفعلي .

الحدود.

• Toden لا تكشف إشارات الهاتف عن اسم شركة الاتصالات، ولا تخبرك ما إذا كانت SIM تم استبدال رقمك أو إعادة تخصيصه مؤخرًا. إذا كنت بحاجة إلى ذلك، فيجب أن يكون من مشغل شبكة جوال أو خدمة مرتبطة به.

• قرار المراجعة لا يُفعّل عملية التحقق من الوجه تلقائيًا. تطبيقك هو من يقرر كيفية التعامل مع الأمر، وإنشاء جلسة إعادة المصادقة هو قرارك أنت.

• تقلل هذه الضوابط من احتمالات الاستحواذ، لكنها لا تجعله مستحيلاً، ولا تغني عن واجبك في التحقيق والإبلاغ.

أسئلة يجب طرحها على أي مقدم خدمة

• عندما تقول "تم التحقق من الهاتف"، ما الذي تم إثباته بالضبط، وإلى متى سيظل هذا صحيحاً؟

• هل يمكنك إخباري إذا كان SIM أم أن الرقم قد تم تغييره مؤخراً؟ إن لم يكن كذلك، فهل توضح ذلك صراحةً؟

• هل يمكنني طلب التحقق من الوجه عند إعادة تعيين كلمة المرور أو عند استخدام جهاز جديد، مقارنةً بالوجه الذي تم التعرف عليه أثناء عملية الإعداد؟

• هل يمكنك إخباري بنوع الخط، حتى أتمكن من التعامل مع الرقم الافتراضي بشكل مختلف؟

• هل يمكنني الاعتراض على عملية تسجيل دخول محفوفة بالمخاطر بدلاً من حظر كل عميل يشتري هاتفًا جديدًا؟

هذه المقالة عبارة عن إرشادات عامة وليست استشارة قانونية خاصة بحالتك. قواعد المصادقة، SIM تختلف إجراءات التسجيل والمسؤولية عن الاحتيال باختلاف البلدان، لذا تحقق منها مع الشخص المسؤول عن الامتثال في شركتك.

هل تريد دليلاً ثانياً يدعم كل رمز؟ افتح Toden مساحة العمل (يفتح في علامة تبويب جديدة) أو اقرأ كيف Toden أساليب منع الاحتيال .